ESTUDO SOBRE A PERCEPÇÃO DA IMPORTÂNCIA DE INDICADORES DE GOVERNANÇA DE TI EM UMA INSTITUIÇÃO DE PESQUISA

ESTUDO SOBRE A PERCEPÇÃO DA

IMPORTÂNCIA DE INDICADORES DE

GOVERNANÇA DE TI EM UMA

INSTITUIÇÃO DE PESQUISA

Antonio Eduardo de Albuquerque Junior (UFBA) aealbuquerque@gmail.com Kaliane Caldas de Brito Machado (UFBA) kaliane@ig.com.br ERNANI MARQUES DOS SANTOS (UFBA) ernani@svn.com.br

A utilização de Tecnologias da Informação (TI) nas organizações trouxe integração entre as diversas áreas e facilitou a cooperação entre seus profissionais, tornando seus processos internos mais rápidos e eficientes. Essas soluções isoladass de TI evoluíram para sistemas transversais, que integram processos de diferentes áreas da organização, trazendo para os altos escalões informações da organização como um todo, que ajudavam na tomada de decisões estratégicas. Soluções e serviços de TI que eram, a princípio, pouco relevantes e muitas vezes vistos como curiosidades tecnológicas, ganharam importância ou se tornaram essenciais. O aumento dos gastos das organizações com TI, nem sempre alinhados aos objetivos das organizações, tornam necessária a garantia dos retornos esperados e a mitigação dos riscos relacionados a TI. Isso traz a necessidade de mudanças nos processos internos de TI. Uma vez que a TI é atualmente um destino de investimentos significativos e também uma área estratégica, é necessária uma governança eficaz para direcionar suas ações aos objetivos da organização. Uma boa Governança de TI faz com que a administração e a utilização da TI estejam em harmonia com os objetivos e com os comportamentos esperados pelo negócio. Este trabalho procurou identificar a percepção da importância de indicadores de Governança de TI para profissionais de TI e gestores de unidades descentralizadas de uma instituição pública de pesquisa em saúde através de uma pesquisa survey, com base nos processos e controles da biblioteca ITIL, do modelo COBIT e da norma ABNT NBR ISO IEC 27002 associados ao modelo de Fernandes e Abreu (2008). O estudo mostrou que a Continuidade dos Serviços de TI, o Plano Diretor de TI, a Segurança Lógica dos Ativos de TI e o Comitê de Segurança da Informação são os indicadores considerados mais importantes para os respondentes. Palavras-chaves: governança de ti, itil, cobit, indicadores, importância

2 1. Introdução

A utilização de Tecnologias da Informação (TI) nas organizações trouxe integração entre as diversas áreas e facilitou a cooperação entre seus profissionais, tornando seus processos internos mais rápidos e eficientes. As áreas de TI das organizações ficaram, então, responsáveis por automatizar transações e solucionar problemas nos processos internos, sendo vistas como áreas de suporte ao negócio (REZENDE; ABREU, 2001). Essas soluções isoladas de TI evoluíram para sistemas transversais, que integram processos de diferentes áreas da organização, trazendo para os altos escalões informações da organização como um todo, que ajudavam na tomada de decisões estratégicas. Aliado a isso, serviços de TI que eram, a princípio, pouco relevantes e muitas vezes vistos como curiosidades tecnológicas, como soluções de correio eletrônico e o acesso à Internet, ganharam importância ou se tornaram essenciais.

Junto com essas facilidades e benefícios, as organizações passaram a ter uma significativa dependência da TI (ALBERTIN; ALBERTIN, 2009), e o aumento dos gastos das organizações com TI (BRYNJOLFSSON, 1993; CARR, 2003; DOLCI, 2009), que nem sempre são alinhados aos objetivos das organizações, fazem com que seja necessário garantir os retornos esperados e a mitigação dos riscos relacionados (GREMBERGEN; HAES; GULDENTOPS, 2004). Com isso, surge a necessidade de mudanças nos processos internos de TI de maneira que haja equilíbrio entre investimentos e destinação dos recursos para assegurar que a aquisição de novas tecnologias seja bem sucedida, como observou Gama (2009). Rodríguez e Vieira (2005; 2007) afirmam que a TI é uma ferramenta importante para as estratégias competitivas da organização. Essa necessidade de alinhamento entre os objetivos de TI e os objetivos da organização é observada por Silva (2009), que afirmou que os investimentos em TI passaram a ser vistos como estratégicos, e que a TI deixou de ser uma área de automação de transações.

Esse novo papel estratégico da TI foi observado alguns outros autores, como Laurindo, Shimizu et al (2001), que afirmaram que a TI viabiliza novas estratégias para as organizações. Fernandes e Abreu (2008) dizem que quanto mais as operações e estratégias da organização dependem de TI, mais estratégica é a área de TI. Uma vez que a TI é atualmente um destino de investimentos significativos e também uma área estratégica, é necessária uma governança eficaz para direcionar suas ações aos objetivos da organização. A Governança de TI é uma parte da Governança Corporativa (PELANDA, 2006; ADACHI, 2008; LUNARDI, 2008; OLIVEIRA, 2009) que engloba boas práticas cuja adoção e impactos nos negócios vem sendo estudados nos últimos anos (ALBERTIN; ALBERTIN, 2009), tanto no meio acadêmico quanto no empresarial (PELANDA, 2006; LUNARDI, 2008). Uma boa Governança de TI faz com que a administração e a utilização da TI estejam em harmonia com os objetivos e com os comportamentos esperados pelo negócio, segundo Weill e Ross (2006). A adoção e os estudos acadêmicos ajudaram no aprimoramento de conceitos, processos e boas práticas incluídos em normas e modelos que orientam as organizações.

2. Governança de TI e os modelos de boas práticas

Na litaratura podem ser encontradas diversas definições para Governança de TI. Vieira (2005) diz que Governança de TI é um movimento que visa melhorias no processo de análise de riscos de investimentos em TI e a garantia do gerenciamento e do controle das iniciativas de TI nas organizações. Weill e Ross (2006) definem Governança de TI como a especificação dos direitos de decisão e das responsabilidades necessárias para fazer com que a TI seja utilizada conforme comportamentos desejáveis. Barbosa et al (2006) a definem como uma

3 responsabilidade dos executivos na condução da área de Tecnologia da Informação e Comunicações (TIC) para que os objetivos estratégicos sejam atendidos. A definição de Adachi (2008) diz que a Governança de TI é o que permite à organização formular e controlar a estratégia de TI para que esta traga vantagem competitiva para a corporação. Lunardi (2008) diz que a Governança de TI é um sistema que faz a distribuição de responsabilidades e direitos sobre as decisões de TI e sobre o gerenciamento e controle dos recursos tecnológicos para garantir o alinhamento com os objetivos e estratégias da organização. Por fim, Fernandes e Abreu (2008) apresentam a Governança de TI como um ciclo, que tem como principal objetivo o alinhamento aos objetivos do negócio com base na continuidade do negócio, no atendimento às estratégias organizacionais e aos marcos regulatórios. Esse ciclo é composto por quatro etapas, apresentadas na Figura 1. A descrição de cada uma das etapas está a seguir:

 Etapa 1 – Alinhamento estratégico e compliance – etapa que tem como principal produto um documento que represente o planejamento estratégico de TI, e que trata do alinhamento entre os objetivos da TI e da organização, além do comprimento de normas internas e externas;

 Etapa 2 – Decisão, compromisso, priorização e alocação de recursos – etapa em que são definidos os atores que tomam decisões relacionadas à TI e quais são os projetos e processos de TI da instituição;

 Etapa 3 – Estrutura, processos, operações e gestão – etapa em que são definidos os processos de atendimento e suporte ao usuário, de manutenção da infraestrutura e dos serviços de TI, de relacionamento entre a TI e os usuários, relacionamento entre a TI e os fornecedores;

 Etapa 4 – Medição de desempenho – etapa que trata de avaliações de desempenho da TI e de acordos de nível de serviço.

Para ajudar no cumprimento das etapas do ciclo, existem diversos modelos e normas de boas práticas, processos e controles. Fernandes e Abreu (2008) identificaram 16 normas e modelos de boas práticas e controles de Governança de TI, dentre os quais Lunardi et al (2007), Moraes e Mariano (2008) e Lunardi, Becker e Maçada (2010) destacam:

 Control Objectives for Information and Related Technology (COBIT) (IT GOVERNANCE..., 2007), um modelo para auditoria e controle de processos de TI (FERNANDES; ABREU, 2008);

 Information Technology Infrastructure Labrary (ITIL) (OFFICE..., 2007b), uma biblioteca que organiza um conjunto de recomendações que descreve as melhores práticas de gestão especificamente para a área de TI (RUBIN, 2004);

 NBR ISO/IEC 27002:2005, uma norma da Associação Brasileira de Normas Técnicas (ABNT) (2005) voltada para segurança da informação e que, segundo Fernandes e Abreu (2008), tem como escopo a infraestrutura de TI.

Lunardi, Becker e Maçada (2010) afirmam que a orientação estratégica deve ocorrer em comitês, cujas decisões estratégicas são compiladas em documentos como o Plano Estratégico de TI (PETI) (REZENDE, ABREU, 2001; CARVALHO, 2006; IT GOVERNANCE..., 2007), Plano de TI (FERNANDES; ABREU, 2008) ou, conforme definido pela Secretaria de Logística e Tecnologia da Informação (SLTI) (SECRETARIA..., 2008) do Ministério do Planejamento, Orçamento e Gestão (MPOG), Plano Diretor de TI (PDTI).

O planejamento estratégico de TI garante o alinhamento da tecnologia e da infraestrutura ao negócio (LUFTMAN; LEWIS et al, 1993). A adoção das práticas e controles de Governança de TI contidas nos modelos vão influenciar no direcionamento estratégico, e isso envolve a

4 adequação de processos da área de TI de maneira que suas ações sejam em prol dos objetivos da organização.

Figura 1 – O Ciclo da Governança de TI Adaptado de: Fernandes e Abreu (2008, p.14)

2.1. A Biblioteca ITIL

Organizada em cinco livros, a biblioteca ITIL versão 3.0 é uma consolidação de boas práticas sobre gerenciamento de serviços de TI, que define os processos, as funções, as atividades e os objetivos de uma área de TI de maneira que o cliente ou usuário de TI esteja em destaque, e que, segundo Fernandes e Abreu (2008), tem seu principal foco na gestão de serviços de TI. A seguir está uma breve descrição dos cinco livros núcleo da biblioteca ITIL:

 Estratégia de Serviço – livro que trata do desenho, desenvolvimento e implementação das políticas e processos de gerenciamento de serviços de TI;

 Desenho de Serviço – livro que orienta o desenho e o desenvolvimento dos serviços e dos processos de gerenciamento de serviços;

 Transição de Serviço – livro que orienta sobre o planejamento e o suporte à implementação de serviços novos e de mudanças em serviços existentes;

 Operação de Serviço – livro que trata das atividades de operação dos serviços de TI;

 Melhoria Contínua do Serviço (Continual Service Improvement) – livro que orienta qualidade dos serviços de TI através de gerenciamento de qualidade.

5 As práticas descritas na biblioteca ITIL permitem avaliar a qualidade e efetuar mudanças nos serviços de TI utilizando indicadores objetivos, fazendo com que seja largamente adotado. 2.2. O Modelo COBIT

Criado pelo IT Governance Institute (ITGI) e recomendado pela Information Systems Audit and Control Association (ISACA), o COBIT versão 4.1 é um guia de boas práticas de Governança de TI que foca no alinhamento aos objetivos da organização tratando do gerenciamento e do controle das iniciativas de TI. Aplicável em auditorias e no controle de processos de TI (FERNANDES; ABREU, 2008), o COBIT descreve modelos de maturidade com métricas de avaliação, identificando 34 processos internos de TI. Os indicadores de Governança de TI apresentados no COBIT permitem monitorar e melhorar a gestão da TI e o direcionamento dos investimentos (CARVALHO, 2006). Segundo o ITGI (2007), dentre as áreas-foco do COBIT está o alinhamento estratégico, uma das etapas do modelo de Fernandes e Abreu (2008). Os quatro domínios do COBIT estão brevemente descritos a seguir (IT GOVERNANCE..., 2007; FERNANDES; ABREU, 2008):

 Planejamento e Organização (PO) – indica como a TI deve atender aos objetivos do negócio através de planejamento, comunicação e gerenciamento;

 Aquisição e Implementação (AI) – trata dos processos de identificação das necessidades de TI, do desenvolvimento, da aquisição, da implantação e da manutenção de soluções de TI;

 Entrega e Suporte (DS) – trata dos processos de prestação dos serviços oferecidos pela TI;

 Monitoração e Avaliação (ME) – trata dos processos relacionados à qualidade dos serviços de TI e com sua avaliação.

O COBIT é também aceito e utilizado internacionalmente e visa o direcionamento dos esforços da área de TI para atingir os objetivos da organização.

2.3. A Norma ABNT NBR ISO/IEC 27002

Elaborada pelo British Standards Institute (BSI) e adotada pela International Organization for Standardization (IOS) e pela ABNT, a norma NBR ISO/IEC 27002 é dedicada aos controles e práticas de segurança da informação. Ela estabelece uma diretriz e os princípios gerais para gestão da segurança da informação em uma organização (FERNANDES; ABREU, 2008) e está organizada em 11 seções de controles, que pode ter uma ou mais categorias de controles. Cada categoria principal de controle contém um objetivo de controle de segurança e um ou mais controles. No total, a norma contém 130 controles de segurança da informação, um dos itens da etapa de Alinhamento Estratégico e Compliance do modelo de Governança de TI de Fernandes e Abreu (2008).

3. Metodologia

O trabalho é caracterizado como uma pesquisa survey realizada junto a coordenadores e demais servidores públicos das áreas de TI e de gestão, além de membros da diretoria de unidades técnico-científicas da Fundação Oswaldo Cruz (FIOCRUZ) para identificar a percepção dos respondentes a respeito da importância de indicadores de Governança de TI em unidades localizadas na sede da instituição, no Rio de Janeiro, e em unidades localizadas em outros estados. A pesquisa envolveu: uma etapa de pesquisa bibliográfica, a partir da qual foi elaborado o instrumento de coleta de dados; uma etapa de coleta de dados, em que o instrumento elaborado na etapa anterior foi disponibilizado eletronicamente (por meio de um formulário eletrônico em um endereço na internet) e os respondentes foram convidados a responder; e uma etapa de análise dos dados coletados, cujos resultados estão na seção de Resultados deste trabalho.

6 A etapa de pesquisa bibliográfica envolveu uma revisão da literatura sobre o tema, baseado principalmente no modelo proposto por Fernandes e Abreu (2008). As fases descritas no modelo dos autores foram utilizadas base para as dimensões de Governança de TI. Assim, cada processo, prática e controle previstos na norma ISO/IEC 27002 e nos modelos COBIT e ITIL foi associado a apenas uma dimensão baseada em uma fase do ciclo. A partir daí foram identificados os dez componentes e, a partir destes, os 26 indicadores de Governança de TI utilizados na pesquisa, que estão representados no Quadro 1.

DIMENSÕES COMPONENTES INDICADORES

Alinhamento Estratégico

Planejamento Estratégico Plano Diretor de TI Comitê Gestor de TI

Segurança da Informação Comitê de Segurança da Informação Política de Segurança da Informação Segurança Física dos Ativos de TI Segurança Lógica dos Ativos de TI Priorização e Alocação

de Recursos

Projetos de TI Portfólio de Projetos de TI Serviços de TI Catálogo de Serviços de TI Estrutura, Processos,

Operação e Gestão

Gestão de TI Gestão de TI

Plano de Capacitação em TI Responsabilidades dos Usuários Estrutura de TI Central de Serviços de TI

Níveis de Atendimento de Incidentes e Problemas Sistema de Registro de Incidentes e Problemas Base de Conhecimentos

Controle de Acesso ao CPD/Datacenter Continuidade dos Serviços de TI Homologação de Ativos de TI

Controle de Acesso a Serviços e Sistemas

Gestão de Ativos de TI Banco de Dados de Gerenciamento de Configuração Catálogo de Software Institucional

Monitoramento de Ativos de TI Gestão de Projetos de TI Gestão de Projetos de TI Operações de Serviços de

TI

Procedimentos de Operação da Área de TI Medição do

Desempenho

Acordos de Nível de Serviço

Acordos de Nível de Serviço para Contratos de Terceirização

Acordos de Nível de Serviço entre a TI e a Instituição Quadro 1 – Dimensões, Componentes e Indicadores de Governança de TI.

Fonte: Elaboração dos autores

Foi criado um formulário eletrônico no sistema FormSUS, do Departamento de Informática do Sistema Único de Saúde (DataSUS) onde foram incluídos os 26 indicadores agrupados em uma seção chamada Indicadores de Governança de TI. Cada um dos 26 indicadores foi associado a uma escala Likert de cinco pontos, sendo que 1 significa sem importância, 2 significa pouco importante, 3 significa importante, 4 significa muito importante e 5 significa extremamente importante, onde os respondentes deveriam informar o quanto pensam ser importante o indicador. Para fins de análise, ficou definido que o cálculo da importância de cada indicador seria feito da seguinte maneira: multiplicando a nota referente à importância do indicador (o seu peso) com a quantidade de vezes que essa nota aparece para aquele indicador em todos os formulários, e somando, para cada indicador, os resultados dessa multiplicação. Para facilitar a compreensão do questionário pelos respondentes que não são da área de TI, foi acrescentada uma breve explicação depois de cada indicador.

7 Foram elaboradas ainda 11 perguntas para caracterização do respondente e agrupadas em uma seção chamada Dados Pessoais, e 24 perguntas sobre a área de TI das unidades pesquisadas, agrupadas em uma seção chamada Informações Sobre a Área de TI da Unidade. O instrumento de coleta de dados ficou, então, com 61 itens, e a organização das seções de perguntas ficou da seguinte maneira: em primeiro lugar, os Dados Pessoais; em segundo, as Informações Sobre a Área de TI da Unidade; e em terceiro, os Indicadores de Governança de TI. Este formulário foi chamado de Formulário 1.

Para que os respondentes de outras áreas não respondessem a questionários contendo as perguntas da seção Indicadores de Governança de TI, que são de caracterização da área de TI da unidade e, portanto, deveriam ser respondidas apenas pelos profissionais de TI, decidiu-se pela criação de um segundo formulário no sistema DataSUS, contendo apenas as perguntas das seções Indicadores de Governança de TI e Dados Pessoais. Com isso, este segundo formulário, identificado como Formulário 2, ficou com 37 itens, organizados da seguinte maneira: Dados Pessoais, com 11 perguntas; e Indicadores de Governança de TI, com os 26 indicadores.

A etapa de coleta de dados envolveu o envio de mensagens de correio eletrônico convidando os possíveis respondentes a participar da pesquisa. As mensagens foram enviadas para 28 pessoas, sendo que: 17 são coordenadores e servidores da área de TI, que receberam uma mensagem contendo o endereço para o Formulário 1, com 61 itens dos três grupos; e as outras 11 pessoas são coordenadores de outras áreas e membros das Diretorias das unidades, que receberam uma mensagem contendo o endereço para o Formulário 2, com 37 itens dos grupos Dados Pessoais e Indicadores de Governança de TI. Os resultados da etapa de análise dos dados estão na seção Resultados, apresentada mais adiante.

A escolha das unidades a serem pesquisadas se deu por conta da conveniência de serem os respondentes mais acessíveis ao pesquisador responsável e por desenvolverem principalmente atividades de ensino e pesquisa, que são as principais atividades desenvolvidas na FIOCRUZ. Foram escolhidas, então, duas unidades localizdas no Rio de Janeiro e as unidades localizadas nos estados do Amazonas, Bahia e Pernambuco.

4. Estudo de caso

A FIOCRUZ é uma fundação pública federal vinculada ao Ministério da Saúde que desenvolve diversas atividades de pesquisa, ensino e produção no campo da saúde pública, que tem onze unidades técnico-científicas e quatro unidades técnico-administrativas localizadas no Rio de Janeiro, onde está sediada a instituição, e cinco unidades técnico-científicas em outros estados do Brasil. Ela tem uma estrutura organizacional de gestão descentralizada, onde cada unidade tem relativa autonomia administrativa e de execução orçamentária. Suas unidades técnico-científicas desenvolvem atividades como produção de medicamentos, vacinas e kits de diagnóstico, apoio às pesquisas desenvolvidas em outras unidades e atividades de pesquisa e desenvolvimento tecnológico em saúde propriamente ditas.

As cinco unidades técnico-científicas escolhidas tem equipes de TI de tamanhos variados, compostas por servidores da FIOCRUZ e terceirizados, que trabalham desenvolvendo, implantando, gerenciando e mantendo ativos de TI, e que atendem a uma quantidade variável de usuários e de incidentes. O Instituto Oswaldo Cruz (IOC) está localizado no Rio de Janeiro, no campus de Manguinhos, onde fica a sede da FIOCRUZ, e tem 71 laboratórios de pesquisa e serviços de saúde. O Instituto de Comunicação e Informação Científica e Tecnológica em Saúde (ICICT) é uma unidade técnico-científica localizada também no campus de Manguinhos, onde tem três laboratórios desenvolvendo pesquisa e atividades de

8 ensino nas áreas de comunicação, informação e inovação científica e tecnológica em saúde. O Centro de Pesquisa Leônidas e Maria Deane (CPqLMD) é a unidade da FIOCRUZ no Amazonas, onde são desenvolvidas atividades de ensino, científicas, tecnológicas e de inovação em saúde. O Centro de Pesquisa Gonçalo Moniz (CPqGM) é a unidade da FIOCRUZ na Bahia, que desenvolve, em seus 10 laboratórios, atividades de pesquisa, ensino, informação e prestação de serviços assistenciais de referência em saúde. O Centro de Pesquisa Aggeu Magalhães (CPqAM) é a unidade de Pernambuco, que desenvolve atividades de ensino, pesquisa e desenvolvimento tecnológico em saúde em seus 19 laboratórios.

5. Resultados

Esta seção apresenta os resultados da etapa de análise dos dados da pesquisa. Inicialmente, são apresentadas informações sobre os respondentes coletadas através da seção Dados Pessoais, presente nos dois formulários. Em seguida, são apresentadas informações relativas às áreas de TI, que foram colhidas dos coordenadores e servidores que trabalham na área de TI em suas unidades, coletadas através da seção Informações Sobre a Área de TI da Unidade, presente apenas no Formulário 1. Por fim, são apresentados os resultados sobre a importância percebida dos indicadores de Governança de TI, referente à seção Indicadores de Governança de TI, informados pelos respondentes dos dois formulários.

Das 28 pessoas que receberam as mensagens de correio eletrônico convidando para a pesquisa, 17 receberam o endereço para o Formulário 1, sendo que 15 foram respondidos, e 11 receberam o endereço para o Formulário 2, dos quais 10 foram respondidos, dando um total de 25 formulários respondidos.

Dentre os respondentes dos dois formulários, 22 (88%) são servidores efetivos da FIOCRUZ, enquanto dois (8%) são ocupantes de cargos comissionados sem vínculo efetivo e um (4%) é servidor de outra instituição ocupante de cargo comissionado na FIOCRUZ. Dentre os respondentes, apenas três (12%) são do sexo feminino. Quanto à formação dos respondentes, apenas quatro (16%) não cursaram pós-graduação. Quanto ao tempo de serviço na FIOCRUZ, 14 (56%) trabalham na instituição há mais de oito anos, quatro (16%) estão na FIOCRUZ há mais de quatro e menos de oito anos e sete (28%) estão há menos de quatro anos.

Dentre os 15 respondentes do Formulário 1, cinco (33,33%) são Coordenadores de TI das suas unidades, sendo que um destes é Vice-Diretor da unidade. Os três respondentes que não são servidores efetivos da FIOCRUZ trabalham nas áreas de TI de suas unidades. Dentre os 80% que são servidores efetivos, 11 (73,33%) ocupam o cargo de Tecnologistas em Saúde Pública e um é Analista de Gestão em Saúde Pública. Com relação à formação acadêmica dos 15 respondentes, dois (13,33%) concluíram curso superior, sete (46,67%) fizeram Especialização e seis (40%) fizeram Mestrado.

Dos 10 respondentes do Formulário 2, três (30%) declararam ser Pesquisadores e sete (70%) declararam ser Analistas de Gestão em Saúde Pública. Um exerce a função de Diretor e dois exercem a função de Vice-Diretor. Todos são servidores efetivos da FIOCRUZ. Seis (60%) dos respondentes afirmaram ser da área de gestão, três (30%) afirmaram ser da área de pesquisa e um (10%) afirmou ser de outra área. Quanto a formação, dois (20%) concluíram ensino superior, um (10%) fez Especialização, quatro (40%) fizeram Mestrado e três (30%) fizeram Doutorado.

As informações colhidas por meio do Formulário 1 sobre as áreas de TI das unidades mostraram que todas tem profissionais terceirizados trabalhando com TI. O total de funcionários, entre terceirizados e servidores, varia de três a 19, o que reflete a desigualdade entre as unidades. Quanto ao grau de formação dos funcionários das áreas de TI, apenas uma

9 unidade não tem profissionais de nível médio trabalhando com TI. Das cinco unidades, três contam com profissionais com especialização, quatro contam com profissionais com mestrado e nenhuma tem profissional com doutorado.

O Quadro 2 mostra a quantidade de vezes que cada indicador foi classificado como sem importância (peso 1), pouco importante (peso 2), importante (peso 3), muito importante (peso 4) e extremamente importante (peso 5), além do total de pontos de cada indicador.

INDICADOR

IMPORTÂNCIA

PERCEBIDA PONTOS

1 2 3 4 5

Continuidade dos Serviços de TI 6 19 119

Plano Diretor de TI 2 7 16 114

Segurança Lógica dos Ativos de TI 1 11 13 112

Comitê de Segurança da Informação 4 9 12 108

Plano de Capacitação em TI 4 9 12 108

Política de Segurança da Informação 13 11 107

Acordos de Nível de Serviço p/ Contratos de Terceirização 3 12 10 107

Segurança Física dos Ativos de TI 2 14 9 107

Controle de Acesso a Serviços e Sistemas 2 4 10 10 106

Base de Conhecimentos 4 12 9 105

Comitê Gestor de TI 5 10 9 100

Catálogo de Serviços de TI 7 11 7 100

Controle de Acesso ao CPD/Datacenter 1 5 12 7 100

Responsabilidades dos Usuários 6 13 6 100

Gestão de TI 8 11 6 98

Monitoramento de Ativos de TI 6 17 2 96

Procedimentos de Operação da Área de TI 1 8 11 5 95 Sistema de Registro de Incidentes e Problemas 9 12 4 95 Catálogo de Software Institucional 3 9 7 6 91 Acordos de Nível de Serviço entre a TI e a Instituição 2 2 4 13 4 90 Banco de Dados de Gerenciamento de Configuração 1 9 10 4 89

Portfólio de Projetos de TI 1 13 9 2 87

Níveis de Atendimento de Incidentes e Problemas 2 3 6 10 4 86

Homologação de Ativos de TI 1 3 8 10 3 86

Gestão de Projetos de TI 2 11 11 1 86

Central de Serviços de TI 2 4 7 8 4 83

Quadro 2 – Indicadores, a importância percebida pelos respondentes e a quantidade de pontos. Fonte: Elaboração dos autores

Considerando as respostas dos 25 respondentes, o indicador de Governança de TI mais importante é Continuidade dos Serviços de TI (119 pontos), o que reflete a preocupação com o funcionamento dos sistemas e serviços disponibilizados e suportados pelas áreas de TI. O Plano Diretor de TI foi o segundo mais importante (114 pontos), mostrando uma preocupação geral com o alinhamento estratégico das ações de TI. O indicador Segurança Lógica dos Ativos de TI aparece em terceiro lugar (112 pontos), mostrando uma preocupação com as informações armazenadas e manipuladas nos equipamentos das unidades. Os indicadores Comitê de Segurança da Informação e Plano de Capacitação em TI (ambos com 108 pontos) aparecem em seguida, mostrando preocupação com a formalização do processo de decisão

10 sobre como serão priorizados os projetos e investimentos em TI e com a capacitação dos usuários na utilização dos softwares e serviços disponibilizados.

Os indicadores que tiveram menor pontuação foram: Central de Serviços de TI (83 pontos), Gestão de Projetos de TI (86 pontos), Homologação de Ativos de TI (86 pontos) e Níveis de Atendimento de Incidentes e Problemas (também com 86 pontos). Calculada a média de pontos obtidos pelos indicadores (99,03 pontos), identificou-se que os indicadores com pontuação acima da média estão concentrados nos componentes Planejamento Estratégico, Segurança da Informação, Serviços de TI, Gestão de TI, Estrutura de TI e Acordos de Nível de Serviço, com uma concentração ainda maior nos componentes Planejamento Estratégico e Segurança da Informação. Esses componentes estão em duas dimensões do modelo de análise que, relacionadas às fases do modelo de Fernandes e Abreu (2008), estão no início do ciclo de Governança de TI (Alinhamento Estratégico e Priorização e Alocação de Recursos), demonstrando uma preocupação com questões mais básicas e estruturais do ciclo de Governança de TI.

Analisando separadamente as respostas do Formulário 1 e do Formulário 2, foi possível constatar que os respondentes do Formulário 1 (profissionais da área de TI) consideram também como indicador mais importante Continuidade dos Serviços de TI (71 pontos). O segundo mais importante é Segurança Lógica dos Ativos de TI (70 pontos), o terceiro é Plano Diretor de TI (69 pontos) e o quarto mais importante é Controle de Acesso a Serviços e Sistemas (67 pontos). Os respondentes do Formulário 2 (gestores e coordenadores de outras áreas) consideraram como mais importante Continuidade dos Serviços de TI (48 pontos), seguido de Plano Diretor de TI (45 pontos), Política de Segurança da Informação (44 pontos) e Plano de Capacitação em TI (44 pontos).

Continuidade dos Serviços de TI é o indicador mais importante, portanto, para ambos os grupos de respondentes. O indicador Plano Diretor de TI também tem uma posição de destaque para ambos os grupos. Por outro lado, os indicadores Plano de Capacitação em TI e Política de Segurança da Informação, que aparecem como importantes de maneira geral e se considerados apenas os respondentes do Formulário 2, não figuraram entre os mais importantes para os respondentes do Formulário 1. Já o indicador Controle de Acesso a Serviços e Sistemas, o quarto mais importante nas respostas do Formulário 1, não figura entre os mais importantes para os respondentes do Formulário 2. Constatou-se com isso que os respondentes de ambos os formulários demonstram uma preocupação maior com questões relacionadas a continuidade do funcionamento dos serviços de TI e direcionamento estratégico dos esforços e ações da área de TI, não importando se são da área de TI ou de outras áreas. Por outro lado, houve uma preocupação dos respondentes do Formulário 1 com controle de acesso a serviços de TI, enquanto os respondentes do Formulário 2 demonstraram preocupação com a formalização de uma política de segurança da informação e com capacitação em TI.

Foi feita uma comparação entre as respostas oriundas das unidades localizadas no Rio de Janeiro, próximas à sede da instituição (Quadro 3) com as dos outros estados (Quadro 4). Com isso, foi possível constatar que, para os seis respondentes das unidades próximas à sede, os indicadores mais importantes são Continuidade dos Serviços de TI e Segurança Lógica dos Ativos de TI (ambos com 28 pontos), seguidos por Segurança Física dos Ativos de TI (27 pontos) e por Plano Diretor de TI e Acordos de Nível de Serviço para Contratos de Terceirização (ambos com 26 pontos). Os indicadores considerados menos importantes para os respondentes de unidades próximas à sede são Banco de Dados de Gerenciamento de Configuração (16 pontos), Central de Serviços de TI (também com 16 pontos) e Níveis de Atendimento de Incidentes e Problemas (17 pontos). Para os 19 respondentes das unidades

11 localizadas em outros estados, os indicadores mais importantes são Continuidade dos Serviços de TI (91 pontos), Plano Diretor de TI (88 pontos), Política de Segurança da Informação (86 pontos) e Segurança Lógica dos Ativos de TI (84 pontos). Os menos importantes para esses respondentes são Portfólio de Projetos de TI (66 pontos), Gestão de Projetos de TI (67 pontos), Homologação de Ativos de TI (67 pontos) e Central de Serviços de TI (67 pontos). Constatou-se, assim, que a importância de alguns indicadores, como Continuidade dos Serviços de TI e Segurança Lógica dos Ativos de TI não dependem da proximidade com relação à sede da instituição. O indicador Segurança Física dos Ativos de TI é considerado importante para os respondentes do Rio de Janeiro, mas não tem tanta importância para respondentes de outros estados, e o indicador Política de Segurança da Informação, importante para os respondentes dos outros estados, não é importante para os do Rio de Janeiro, apesar destes considerarem importante o Comitê de Segurança da Informação. Isso indica um sentimento de necessidade de estabelecer normas ou de criação de uma instância decisória sobre segurança da informação.

Observa-se que os indicadores escolhidos como mais importantes para os respondentes do Rio de Janeiro e dos outros estados estão mais concentrados nos componentes Planejamento Estratégico e Segurança da Informação, ambos pertencentes à dimensão Alinhamento Estratégico do modelo de análise, relacionada a questões iniciais de alinhamento estratégico, segundo Fernandes e Abreu (2008). Indicadores mais relacionados à operação de TI, como Central de Serviços de TI, Homologação de Ativos de TI e Banco de Dados de Gerenciamento de Configuração, são considerados menos importantes.

6. Considerações finais

Este trabalho buscou identificar a percepção que coordenadores TI, servidores da área de TI, gestores e coordenadores de outras áreas tem sobre importância dos indicadores de Governança de TI em unidades técnico-científicas de uma instituição pública de pesquisa, além de colher dados sobre as áreas de TI das unidades técnico-científica dos respondentes. Os formulários foram distribuídos para dois grupos de pessoas: coordenadores TI e servidores da área de TI, que responderam ao Formulário 1; e gestores e coordenadores de outras áreas, que responderam ao Formulário 2. A única diferença entre os dois tipos de formulário foi uma seção destinada a colher informações sobre as áreas de TI das unidades técnico-científicas dos respondentes, que estava presente apenas no Formulário 1.

Responderam ao questionário uma variedade de profissionais da FIOCRUZ que incluía servidores efetivos, servidores sem vínculo efetivo ocupando cargos comissionados, servidores de outras instituições com cargo comissionado, Analistas de Gestão, Pesquisadores e Tecnologistas. As funções exercidas pelos respondentes incluíram Analista de Suporte, Analista de Sistemas, Coordenador, Vice-Diretor e Diretor. A grande maioria dos respondentes é composta de servidores efetivos da FIOCRUZ. A grande maioria também é do sexo masculino. A grande maioria concluiu pós-graduação, podendo ser Especialização, Mestrado ou Doutorado. Dentre os respondentes da área de TI, a grande maioria cursou Especialização ou Mestrado, mas nenhum cursou Doutorado. Mais da metade dos servidores está na FIOCRUZ há mais de oito anos, e a minoria trabalha há menos de quatro anos na instituição. Dentre os respondentes que não são da área de TI, a maioria trabalha na área de gestão, mas alguns desenvolvem atividades de pesquisa em suas unidades. Em todas as unidades pesquisadas, há terceirização de atividades de TI.

Dos 26 indicadores de Governança de TI que tiveram a importância avaliada pelos respondentes, Continuidade dos Serviços de TI e Plano Diretor de TI aparecem como os mais importantes considerando os dois formulários. Continuidade dos Serviços de TI aparece

12 também como indicador mais importante se forem consideradas as respostas dos dois formulários separadamente. Plano Diretor de TI aparece como terceiro indicador mais importante nas respostas do Formulário 1 e como segundo mais importante no Formulário 2. Embora as respostas do Formulário 1 não tenham deixado o indicador Política de Segurança da Informação entre os quatro mais importantes, os respondentes consideraram importantes o indicador Segurança Lógica dos Ativos de TI, ligado ao componente Segurança da Informação, e o indicador Controle de Acesso a Serviços e Sistemas, ligado ao componente Estrutura de TI, mas fortemente ligado a segurança da informação. Mas o indicador Política de Segurança da Informação aparece como o terceiro mais importante nas respostas do Formulário 2, demonstrando que há uma preocupação desse grupo com a formalização de um documento que direcione as ações relacionadas à segurança da informação.

Considerando as respostas dos dois formulários, os indicadores mais importantes estão relacionados aos componentes Estrutura de TI, Planejamento Estratégico e Segurança da Informação. Os dois primeiros componentes, por sua vez, estão associados à dimensão Alinhamento Estratégico e o terceiro à dimensão Estrutura, Processos, Operação e Gestão. Isso evidencia um foco em processos que estão relacionados ao início do ciclo de Governança de TI que foi apresentado por Fernandes e Abreu (2008). Mesmo a importância do único indicador que não está associado à dimensão Alinhamento Estratégico evidencia preocupação com questões mais estratégicas.

Entre as contribuições desta pesquisa, pode-se destacar: a elaboração de um instrumento de identificação da importância de indicadores de Governança de TI sob o ponto de vista dos gestores, que ajudará no desenvolvimento de outras pesquisas sobre o mesmo tema, além de ajudar na adoção de boas práticas, com foco nos processos relacionados aos indicadores mais importantes para profissionais de TI, coordenadores de TI e gestores dos níveis tático e estratégico.

Este trabalho tem as seguintes limitações: nem todos os aspectos relacionados à Governança de TI foram traduzidos nos indicadores utilizados na pesquisa; apesar de o instrumento de pesquisa ter sido enviado a pessoas de cinco unidades técnico-científicas da FIOCRUZ, as informações colhidas não representam as opiniões de todos os coordenadores e servidores das áreas de TI de todas as unidades da FIOCRUZ. Além disso, os indicadores utilizados na pesquisa abordam diversos aspectos, ações e processos relacionados à realidade da TI de unidades técnico-científicas da FIOCRUZ, e as pessoas que responderam à pesquisa incluem servidores de todos os níveis hierárquicos das unidades da instituição, valorizando o estudo. Referências

ADACHI, E. S. Governança de TI: Análise Crítica das Práticas Existentes em uma Empresa Estatal do Setor

de TI. Porto Alegre, 2008. 143f. Dissertação (Mestrado em Engenharia de Produção) – Curso de Pós-Graduação

em Engenharia de Produção, Universidade Federal do Rio Grande do Sul.

ALBERTIN, A. L.; ALBERTIN, R. M. M. Estratégias de Governança de Tecnologia da Informação:

Estrutura e Práticas. 1ª. ed., Rio de Janeiro: Elsevier, 2009.

ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 27002:2005: Tecnologia da

Informação – Técnicas de segurança – Código de prática para a gestão da segurança da informação. Rio de

Janeiro, 2005. 120p.

BARBOSA, A. F.; JUNQUEIRA, A. R. B.; LAIA, M. M.; FARIA, F. I. Governança de TIC e Contratos no

Setor Público. In: Congresso Anual de Tecnologia da Informação 2006 – CATI 2006, São Paulo, 2006. Anais...

São Paulo: CATI, 2006, 16p.

BRYNJOLFSSON, E. The Productivity Paradox of Information Technology. Communications of the ACM. Nova York, n.12, v.36, p.67-77, dez.1993.

13

CARR, N. G. TI Já Não Importa. Harvard Business Review. n. 81.5, p.41-50, mai.2003.

CARVALHO, M. S. Diretrizes Para Aplicação de Governança de TI nos Órgãos Públicos Federais Brasileiros

Usando o Framework COBIT. Brasília, 2006. 103f. Dissertação (Mestrado em Gestão do Conhecimento e

Tecnologia da Informação) – Curso de Pós-Graduação em Gestão do Conhecimento e Tecnologia da Informação, Universidade Católica de Brasília.

DOLCI, P. C. Uso da Gestão do Portfólio de TI no Processo de Gerenciamento e Justificativa dos

Investimentos em Tecnologia da Informação. Porto Alegre, 2009. 200f. Dissertação (Mestrado em

Administração) – Curso de Pós-Graduação em Administração, Universidade Federal do Rio Grande do Sul. FERNANDES, A. A.; ABREU, V. F. Implantando a Governança de TI: Da Estratégia à Gestão dos Processos

e Serviços. 2ª. ed., Rio de Janeiro, Brasport, 2008. 444p.

GAMA, J. N. Gestão da informação hospitalar: estudo de caso de um hospital privado, de atuação geral e

médio porte. Salvador, 2009. 174f. Dissertação (Mestrado em Administração) – Curso de Pós-Graduação em

Administração, Universidade Federal da Bahia.

GREMBERGEN, W. V; HAES, S. D.; GULDENTOPS, E. IT Governance Structures, Processes and

Relational Mechanisms. In: GREMBERGEN, W. V. Strategies for Information Technology Governance.

Hershey: Idea Group Publishing, 2004, p.20-37.

IT GOVERNANCE INSTITUTE. COBIT 4.1, Rolling Meadows, 2007. 213p. ISBN 1-933284-72-2

LAURINDO, F. J. B.; SHIMIZU, T.; CARVALHO, M. M.; RABECHINI JR., R. O Papel da Tecnologia da

Informação (TI) na Estratégia das Organizações. Gestão & Produção. São Paulo, n.2, v.8, p.160-179, ago.2001.

LUFTMAN, J. N.; LEWIS, P. R.; OLDACH, S. H. Transforming the Enterprise: The Alignment of Business

and Information Technology Strategies. IBM Systems Journal. n.1, v.32, p.198-221, 1993.

LUNARDI, G. L. Um Estudo Empírico e Analítico do Impacto da Governança de TI no Desempenho

Organizacional. Porto Alegre, 2008. 200f. Tese (Doutorado em Administração) – Universidade Federal do Rio

Grande do Sul, Programa de Pós-Graduação em Administração, Porto Alegre, 2008.

LUNARDI, G. L.; DOLCI, P. C.; BECKER, J. L.; MAÇADA, A. C. G. Governança de TI no Brasil: Uma

Análise dos Mecanismos Mais Difundidos Entre as Empresas Nacionais. IV Simpósio de Excelência em Gestão

e Tecnologia – SEGeT. Resende, 2007. Anais... Resende: AEDB, out.2007, 14 p.

LUNARDI, G. L.; BECKER, J. L.; MAÇADA, A. C. G. Governança de TI e suas Implicações para a Gestão

da TI: Um Estudo Acerca da Percepção dos Executivos. XXXIV Encontro da ANPAD – EnANPAD. Rio de

Janeiro, 2010. Anais... Rio de Janeiro: ANPAD, set.2010, 17 p. CD Rom.

MORAES, E. A. P.; MARIANO, S. R. H. Uma Revisão dos Modelos de Gestão em TI. IV Congresso Nacional de Excelência em Gestão – CNEG, 2008, Niterói. Anais... Niterói: CNEG, jul.2008. 19p.

OFFICE OF GOVERNMENT COMMERCE. ITIL Service Design. Norwich, OGC, 2007a. 352p. ISBN 9 780113310 47 0

OFFICE OF GOVERNMENT COMMERCE. ITIL, Norfolk: OGC, 2007b. Disponível em <http://www.ogc.gov.uk/guidance_itil_4438.asp>. Acesso em: 25 set. 2009.

OLIVEIRA, L. C. Governança de TI: Proposta de um Modelo para os Tribunais de Contas Estaduais. Recife, 2009. 131f. Dissertação (Mestrado Profissional Ciência da Computação) – Universidade Federal de Pernambuco, Recife, 2009.

PELANDA, M. L. Modelos de Governança de Tecnologia da Informação Adotados no Brasil – Um Estudo de

Casos Múltiplos. São Bernardo do Campo, 2006. 133f. Dissertação (Mestrado em Administração) –

Universidade Metodista de São Paulo, São Bernardo do Campo, 2006.

REZENDE, D. A.; ABREU, A. F. Alinhamento do Planejamento Estratégico da Tecnologia da Informação ao

Empresarial – Análise Preliminar de um Modelo na Prática de Grandes Empresas Brasileiras. In: XXV

Congresso da Associação dos Programas de Pós-Graduação em Administração – ANPAD, 2001, Campinas. Anais... Campinas: ANPAD, set.2001. 17 p.

RODRÍGUEZ, M. V. R; VIEIRA, D. M. A Governança de TI como Suporte para as Estratégias Competitivas

das Organizações. In: II Simpósio de Excelência em Gestão e Tecnologia – SEGeT, Resende, 2005. Anais...

14

RODRÍGUEZ, M. V. R; VIEIRA, D. M. Governança de TI no Setor Público: Caso DATAPREV. Revista Produção Online. Universidade Federal de Santa Catarina, n.1, v.7, p.207-225, abr. 2007. ISSN 1676-1901. RUBIN, R. ITIL: Grito de Guerra. Information Week. São Paulo, n. 112, 02 mar.2004.

SECRETARIA DE LOGÍSTICA E TECNOLOGIA DA INFORMAÇÃO. Modelo de Referência para

Elaboração do Plano Diretor de Tecnologia da Informação. 31 dez. 2008, MPOG. Diário Oficial da União,

seção 1, n.254, p.211.

SILVA, R. Alinhar as Estratégias da TI com o Negócio. Disponível em <http://www.itweb.com.br/ blogs/blog.asp?cod=124>. Acesso em: 25 set. 2009.

VIEIRA, D. M. Governança de TI no Setor Público: Caso DATAPREV. Niterói, 2005. 100f. Dissertação (Mestrado em Sistemas de Gestão) – Universidade Federal Fluminense, Niterói, 2005.